Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

266
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
265
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
5.5.2.2.1 Länge einer MIX-Eingabenachricht
5.5.2.1.3 Hybride Verschlüsselung
Gemäß §5.5.2 (1) gilt
|N1 | ≤ |D1 | + |N2 |
bzw. für i = 2, …, m gemäß §5.5.2.1.3 (3)
|Ni| = max { basym, |Di| + |Ni+1| + ssym}. Um Übertragungskapazität zu sparen, wird bei der hybriden Verschlüsselung stets ein möglichst
großer Teil N' des Klartextes N in den ersten, asymmetrisch verschlüsselten, Block hineingezogen,
d.h. es ist, wenn N" der Rest von N ist,
(2)
c *
E (N) := ⎨
⎩ ⎧ cE (N) falls |N| ≤ basym cE (kSE ,N'), kSE (N") sonst.
Da für i < m die Nachricht Ni+1 wenigstens aus einem asymmetrisch verschlüsselten Block besteht,
gilt für i < m stets |Ni+1| ≥ basym. Damit folgt nach Auflösung der obigen rekursiven Gleichungen
m-1
+ (m-2) • s sym + max { b asym , |D m | + |N m+1 | + s sym }. (5)
|Dj|
|N 1 | = ∑ j=1
Im folgenden soll stets von Gleichung (5) ausgegangen werden.
5.5.2.2.2 Abschätzung
Die Strukturen der drei interessierenden Nachrichtentypen sind in den Bildern 5-43, 5-44 und 5-46
dargestellt. Den Feldern sind folgende Längen zugeordnet worden:
Zur Bestimmung der Länge von c *
E (N) ist zu beachten, daß zur Gewährleistung der Unbeobachtbarkeit
die in §5.4.6.2 verwendete Verschlüsselung indeterministisch sein muß.
Bei Verwendung von RSA muß daher dessen Determinismus beseitigt werden, indem die
Nachricht vor der Verschlüsselung indeterministisch codiert, d.h. im wesentlichen um eine Anzahl a
zufällig gewählter Bits erweitert wird.
Die dadurch verursachte Längenexpansion kann sinnvoll genutzt werden, indem eben jene a
zusätzlichen Bits als symmetrischer Schlüssel kSE verwendet werden. Damit ist a = ssym. Die genaue Realisierung der „Erweiterung“ ist leider nicht trivial. So wurde gezeigt, daß speziell
bei Verwendung von RSA die in [Chau_81] nahegelegte Codierung durch Voranstellen zufällig
gewählter Bits ein unsicheres MIX-Netz ergibt, vgl. §5.4.6.8.
Bild 5-43, 5-44, 5-46:
• Zeitscheibennummer: 30 bit
• Ortsnetzkennzeichen: 22 bit
Bild 5-43, 5-44:
• Entgeltmarke zur Bezahlung der Fernnetzbenutzung: 670 bit
• Kanalkennzeichen: 28 bit
Ungebrochen ist jedoch folgende Erweiterung, von der im folgenden auch ausgegangen werden soll:
Vor der Verschlüsselung einer Nachricht wählt sich der Verschlüßler einen zufälligen, ssym bit langen
String und konkateniert ihn mit der Nachricht. Die so erweiterte Nachricht wird mit einer festen und
möglichst wenig strukturerhaltenden Permutation π des Klartextraumes „verwürfelt“. Die Permutation
π und ihre Inverse π -1 sind allgemein bekannt. (Sie könnten z.B. durch einen festen Schlüssel eines
symmetrischen Konzelationssystems beschrieben werden.) Beim Entschlüsseln wird umgekehrt verfahren,
d.h. zunächst die inverse Permutation π -1 angewandt und dann der ssym bit lange String
entfernt.
Bild 5-46:
• Unterscheidung bedeutungslose Nachricht / bedeutungsvolle Nachricht: 1 bit
• Startwert sRG des PZBFG: 128 bit
• Zeitschranke für Gültigkeit (d.h. das Warten von R auf G): 20 bit
• Berechtigungsmarke zur Angabe der Priorität eines Verbindungswunsches: 670 bit
Geht man von dieser Erweiterung aus, so ist
|c *
E (N)| = max { basym, |N| + ssym }. (3)
Für die beiden Marken wurde jeweils angenommen, daß die Priorität der Berechtigungsmarke bzw.
der Wert der Entgeltmarke nicht nur implizit in der Signatur (bei RSA: 660 bit) durch unterschiedliche
Signaturen, sondern auch explizit (in weiteren 10 bit) angegeben wird. Dies erspart der
kontrollierenden OVSt das Durchprobieren aller möglichen Schlüssel zum Prüfen von Signaturen.
5.5.2.2 Minimale Dauer einer Zeitscheibe
Für eine ZS- oder ZE-Kanalaufbaunachricht gilt für i = 1, …, m-1 jeweils |Di | = 30 bit, da der
Schlüssel des symmetrischen Konzelationssystems bereits für die hybride Verschlüsselung gezählt
wurde, und |Nm+1| = 0.
Für eine ZS-Kanalaufbaunachricht ist |Dm | = 750 bit, d.h. nach (5) |Nm | = 750 bit + ssym . Für
eine ZE-Kanalaufbaunachricht ist |Dm | = 58 bit, d.h. nach (5) |Nm | = basym .
Damit folgt aus (5)
LZS = (m-1) • (30 bit + ssym ) + 750 bit
(6)
LZE = (m-1) • (30 bit + ssym ) - ssym + basym .
Jeder Netzabschluß muß für jede Zeitscheibe und jeden ihm zur Verfügung stehenden 64-kbit/s-
Datenkanal drei MIX-Eingabenachrichten senden: eine ZS- und eine ZE-Kanalaufbaunachricht sowie
eine Verbindungswunschnachricht. Deren Längen seien mit LZS , LZE bzw. LV bezeichnet.
Die Länge einer Rückmeldung (vgl. [PfPW1_89 §2.2.3]) wird mit LR bezeichnet. Wird RSA als
Signatursystem verwendet, so gilt im wesentlichen LR = basym , was im folgenden auch angenommen
werden soll. Da die Rückmeldungen ob ihrer kurzen Länge ohnehin kaum ins Gewicht fallen, wird
angenommen, daß jeder Netzabschluß für jede Zeitscheibe eine Rückmeldung sendet.
Ein Netzabschluß muß also in der Lage sein, über seinen Signalisierungskanal in jeder Zeitscheibe
2 • (LZS + LZE + LV ) + LR bit zu übertragen, d.h. es muß gelten
. (4)
z ≥ 2 • (L ZS + L ZE + L V ) + L R
b
Für eine Verbindungswunschnachricht gilt für i = 1, …, m-1 jeweils |Di| = 30 bit, und |Dm| = 723 bit.
Nach (5) ist |Nm | = 723 bit + |Nm+1 | + ssym . Umgekehrt reicht |Nm+1 | = basym aus, da der Empfänger
lediglich 200 bit erhalten muß.
Damit ist
LV = (m-1) • (30 bit + ssym ) + basym + 723 bit. (7)
Die Längen LZS, LZE und LV sollen im folgenden abgeschätzt werden. In §5.5.2.2.1 wird hierzu die
Länge einer MIX-Eingabenachricht allgemein abgeschätzt, in §5.5.2.2.2 werden die speziellen Werte
in Gleichung (4) eingesetzt.